अनधिकृत VPN राउटर: डिक्रिप्शन अघि प्रवेश नियन्त्रण

आन्तरिक स्विच पोर्टमा देखा परेर तुरुन्तै बाहिर जाने VPN खोल्ने अज्ञात राउटर पहिले नै सबैभन्दा महत्त्वपूर्ण नियन्त्रण पार गरिसकेको छ। प्रवेशले उपकरणले प्रयोगयोग्य नेटवर्क पहुँच पाउँछ कि भन्ने निर्धारण गर्छ, जबकि डिक्रिप्शनले त्यसपछि के गर्यो भन्ने मात्र बताउँछ। यो क्रम ठीक राख्नाले असम्भव जाँचको समस्या साधारण पोर्ट-नीतिको प्रश्नमा बदलिन्छ। यो फर्काउन सकिने कार्य र सेवा अवरोधबीचको फरक पनि हो।

प्रवेश पोर्टमै निर्धारण हुन्छ

टनेलले के बोक्छ भनी सोध्नुअघि उपकरणले प्रयोगयोग्य जडान कसरी पायो भनी सोध्नुहोस्। सक्रिय भित्ता पोर्टमा जोडिएको राउटर, वा खुला SSID मा सामेल भएको ताररहित क्लाइन्ट, त्यो पोर्ट वा SSID ले लागू गर्ने नीतिबाटै प्रवेश पाएको हो। यदि त्यो नीति "जोडिने जे पनि काम गर्ने VLAN पाउँछ" भन्ने छ भने, VPN लक्षण हो, कमजोरी होइन।

DHCP भाडा अधिकारको अभिलेख होइन। ठेगाना पाउनु वा नपाउनु ठेगाना वितरण सेवाको वर्णन गर्छ, पोर्टको अवस्थाको होइन, र धेरै डिजाइनले अप्रमाणित उपकरणलाई सहायक सेवासम्म पुग्न दिन्छन् तर बाँकी सबै अस्वीकार गर्छन्। भाडा तालिकालाई ठेगाना-निर्धारणको प्रमाणका रूपमा हेर्नुहोस्, विश्वासको होइन।

यी अनुसन्धानमा तीन प्रकारका प्रमाण मिसिन्छन्: स्वीकृत व्यक्ति, स्वीकृत व्यवस्थित उपकरण र सम्पत्ति सूचीको एक प्रविष्टि। पोर्ट नीतिले यीमध्ये कुन स्वीकार्छ भनी स्पष्ट हुनुपर्छ, किनभने चोरिएको प्रमाणपत्र र क्लोन गरिएको MAC ठेगानाले फरक फरक सर्त पूरा गर्छन्।

प्रमाणित पोर्टले वास्तवमा के निर्धारण गर्छ

IEEE 802.1X मा स्विच वा पहुँच बिन्दु नै प्रमाणकर्ता हो, र यसले निवेदकको प्रमाणपत्र RADIUS क्लाइन्टका रूपमा केन्द्रीय सेवामा पठाउँछ। RADIUS 802.1X विशेषताहरू ले त्यो नतिजालाई पोर्ट अधिकृत गर्न दिन्छन् र डिजाइनअनुसार सत्रलाई निश्चित VLAN वा निश्चित लेखा सन्दर्भमा राख्छन्। स्विचले नीति सर्भरले फर्काएको कुरा पोर्ट त्यसरी लागू गर्न कन्फिगर गरिएको छ भने मात्र लागू गर्छ।

यही अन्तिम सर्तमा परिनियोजनहरू चुपचाप असफल हुन्छन्। निगरानी वा लगिङ मोडमा छाडिएको पोर्टले सम्भावित निर्णय अभिलेख गर्छ र तैपनि ट्राफिक जान दिन्छ, जुन हरेक प्रतिवेदनमा काम गर्ने परिनियोजनजस्तो देखिन्छ—जबसम्म कोही अनियन्त्रित राउटर जोड्दैन।

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

निवेदक चलाउन नसक्ने उपकरणलाई सामान्य छुट होइन, छुट्टै निर्णय चाहिन्छ। MAC प्रमाणीकरण बाइपास, दर्ता पोर्टल वा समर्पित उपकरण-VLAN—सबै वैध उत्तर हुन्, तर हरेक जानाजान छान्नुपर्छ र अभिलेख गर्नुपर्छ। कुन उपकरण वर्गले वैकल्पिक मार्ग प्रयोग गर्न सक्छन् र कसले तिनलाई स्वीकृति दिन्छ भनी लेख्नुहोस्। अभिलेख नगरिएको वैकल्पिक मार्ग नै अनियन्त्रित राउटरले कसैको स्वीकृतिबिना काम गर्ने VLAN पाउने बाटो हो।

डिक्रिप्शनबिना के देख्न सकिन्छ

इन्क्रिप्शनले पेलोड लुकाउँछ, व्यवहार होइन। स्रोत र गन्तव्य ठेगाना, पोर्ट, प्याकेटको समय, प्रवाहको मात्रा र सत्रको अवधि जहाँ तपाईं ती संकलन गर्नुहुन्छ त्यहीँ देखिने रहन्छ, र त्यो मेटाडाटा अज्ञात उपकरणलाई पोर्ट र बाहिर जाने गन्तव्यसँग जोड्न प्रायः पर्याप्त हुन्छ। पढ्न नसकिने कुरा टनेलभित्रको अनुप्रयोग हो, र कुञ्जीबिना कुनै प्याकेट क्याप्चरले त्यो बदल्दैन।

लगातार चल्ने टनेल आफैँ दुर्भावनापूर्ण हुँदैन। साइट-देखि-साइट लिङ्क, ब्याकअप एजेन्ट र टाढाको प्रशासन उपकरण डिजाइनअनुसार निरन्तर चल्छन्, त्यसैले रातभर चल्ने प्रवाहले आफैँ केही प्रमाणित गर्दैन। यसलाई त्यो सम्पत्तिलाई दिइएको भूमिका र त्यसको खण्डका लागि स्वीकृत आधाररेखासँग तुलना गर्नुहोस्।

बाहिर जाने ट्राफिक जानाजान सीमित गर्नुहोस्। गन्तव्य पोर्टलाई अनुमति दिनु भनेको त्यो प्रयोग गर्ने अनुप्रयोगलाई स्वीकृति दिनु होइन, र वर्गीकरणकर्ताको अनुमान अधिकारको निर्णय होइन। जाँचका लागि आवश्यक मेटाडाटा नामित मालिक र भण्डारण अवधिसहित संकलन गर्नुहोस्, हरेक प्रयोगकर्ताको सम्पूर्ण ट्राफिक डिफल्ट रूपमा क्याप्चर गर्नुको सट्टा।

तपाईंले नियन्त्रण गर्ने सीमाबाट नियन्त्रित गर्नुहोस्

केही पनि अलग गर्नुअघि उपकरण कसको हो र कहाँ जोडिएको छ भनी पुष्टि गर्नुहोस्। त्यसपछि घटना प्रक्रिया प्रयोग गरी पोर्ट सीमित गर्नुहोस् वा सत्र रद्द गर्नुहोस्, प्रमाण ताजा रहेसम्म सम्बन्धित लग सुरक्षित राख्नुहोस्। स्विच पोर्ट बन्द गरेर फेरि खोल्न सकिन्छ; चालीस डेस्कलाई सेवा दिने उत्पादन अपलिङ्क त्यति सजिलै फर्काउन सकिँदैन।

एन्डपोइन्टमाथि प्रति-आक्रमण नगर्नुहोस् र स्क्यानले VPN प्रोटोकल संकेत गर्यो भनेर साझा पोर्ट बन्द नगर्नुहोस्। दुवै कार्यले वैध काममा बाधा पुर्याउँछन्, र उपकरणलाई सुरुमै भित्र पठाउने प्रवेश निर्णय सुधार्दैनन्।

स्वीकृति परीक्षण ठोस छ: स्वीकृत एन्डपोइन्टले आफ्नो भूमिकालाई आवश्यक पहुँच अझै पाउँछ, र स्वीकृत नभएको उपकरणले समान मार्ग पाउन सक्दैन। निगरानीले त्यो सीमालाई समर्थन गर्छ, र कसैको इन्क्रिप्शन नतोडीकन पनि यो श्रमको योग्य छ।